【2025年5月から施行】Outlookもメール認証（SPF・DKIM・DMARC）が義務化で、迷惑メール対策がさらに厳格

Google（Gmail）が2024年末に導入した送信者ガイドライン強化に続き、今度はMicrosoft Outlook（Outlook.com・hotmail.com・live.com）も動きだすとブログで発表しました。

2025年5月5日（月）より、1日に5,000通以上のメールを送信するドメインに対して、SPF・DKIM・DMARCの3つのメール認証設定が義務化され、未対応の送信元は迷惑メールフォルダ送り、将来的には完全拒否される可能性もあります。

すでにGoogleの送信者ガイドラインに追加された要件に苦戦しているメルマガ送信者にとって、Outlookからの拒否が加われば、送信メールの到達率はさらに悪化する“二重苦”に直面することになります。

この動きは、世界的な迷惑メール対策そしてフィッシング対策強化の一環です。

2024年10月、Googleはマーケティングメールや24時間に5,000通以上のメール送信者に対しなりすまし対策とワンクリックでのメール配信停止機能の導入を義務化しました。

日本国内でも影響が大きかったことは、皆さまもよく覚えていることだと思います。今回のMicrosoftの対応も、メール全体の信頼性を高める世界的な規制強化の一環です。

Microsoftが発表した新しいルールは、24時間に5,000通以上のメールを送っている企業やサービスが対象で、2025年5月5日（月）から段階的に適用が始まり、設定が不十分な送信元は、今後Outlook.com（hotmail.com、live.com、outlook.com）などにメールが届きづらくなります。

では、Microsoftが具体的に求める要件とは何なのか？Outlookが求める新しいルールを一緒に確認していきたいと思います。

Outlookで求められる新しいメール送信ルールとは？

Microsoftが発表した新しいルールは、1日に5,000通以上のメールを送っている企業やサービスが対象です。

2025年5月5日から段階的に適用が始まり、設定が不十分な送信元は、今後Outlook.com（hotmail.com、live.com、outlook.com）などにメールが届きづらくなります。

具体的に求められるのは、なりすまし対策（メール認証）の導入です。

必ず設定すべき3つのメール認証

この3つはGoogleの送信者ガイドライン対策で有名になったなりすまし対策です。既に対応済みの場合は追加対応は不要です。

SPF（Sender Policy Framework）

メール送信用ドメインから送信する権限を持つIPアドレスを、DNSにきちんと登録しておく仕組みです。これは、DNSサーバーに設定いたします。

DKIM（DomainKeys Identified Mail）

メールに電子署名をつけることで、「送った内容が改ざんされていない」と証明する技術です。こちらも、DNSサーバーに設定いたします。

DMARC（Domain-based Message Authentication, Reporting & Conformance）

SPFやDKIMと一致（整合）するように設定し、メールの送信状況をレポートで受け取れる仕組みです。最低でも「p=none」のポリシー設定が必要で、「p=quarantine」あるいは「p=reject」の対応が求められます。

これらのなりすまし対策が正しく設定されていない場合、Outlook宛のメールは自動的に迷惑メールフォルダに振り分けられるようになります。さらに、将来的にはメール自体が受信拒否される可能性もあります。

セーフセンダー（Safe Sender）リストの運用について

「セーフセンダー（Safe Sender）リスト」は、受信者側が「この送信者からのメールは迷惑メールではない」と自分で指定するリストで、従来はOutlookなどのメールサービスでメールの振り分けをコントロールする際に活用されているリストです。

しかし、今回の新ルールでは、受信者がセーフセンダーとして登録していたとしても、送信者側がSPF・DKIM・DMARCを正しく設定していなければ、そのメールは迷惑メール扱いされる可能性があるとMicrosoftは明言しています。

つまり、

「相手にセーフリストに入れてもらっているから大丈夫」

と安心していても、送信者側の技術的な対応ができていなければ意味がないということです。今までは普通に届いていたメールでも、認証設定が不十分であれば、今後は届かなくなる可能性があります。

つまり、Outlookを使う相手に確実にメールを届けたいなら、このなりすまし対策が“新しい常識”になります。IT担当者やメール運用者は、早急に自社の送信環境を確認・改善しておく必要があります。

Google対策済でもOutlookで届かないことも？Office365ユーザーは特に注意！

「うちはGmail対策はバッチリだから大丈夫」

と安心している方も、今回のOutlookの新ルールには注意が必要です。

Microsoftが求めるSPF・DKIM・DMARCの設定内容はGoogleに近いものの、細かな仕様や挙動が異なる可能性もあり、「Gmailでは届くけどOutlookでは迷惑メールになる」ケースが今後確実に増えると予想されます。

特に、次のような企業は影響を受ける可能性があります。

• 取引先やお客さまがOffice365（Microsoft 365）＋Outlookを使っている企業
• メールマガジンや販促メールを定期的に配信しているEC・SaaS・教育・人材関連企業
• 配信リストの精査（メールクリーニング）やオプトイン管理が甘い事業者

さらに、Googleの要件すら未対応の送信者にとっては、今回のMicrosoftの強化により到達率の低下が一層深刻になる可能性があります。

“今は届いていても、来月から急に届かなくなる”

そんな状況を避けるためにも、GoogleのPostmaster Toolsなどを使って対応状況を再確認しておきましょう。

Outlookが求める4つの追加運用ルール

MicrosoftはSPF・DKIM・DMARCの認証に加え、メールの信頼性や受信者との関係を保つための「4つの運用ルール」も大規模送信者に求めています。

これらは“Email Hygiene（メール衛生）”と呼ばれ、迷惑メール対策の一環として重要視されています。

(1)正しい送信者アドレス（P2アドレス）の使用

送信元（From）や返信先（Reply-To）のアドレスは、実在する・返信可能なアドレスであり、かつ送信ドメインと一致していることが求められます。アライメントの一致です。

ここでいう「P2アドレス」とは、メールのヘッダーに表示され、受信者が目にする“見える送信者アドレス”のことを指します。

技術的には「P1アドレス（エンベロープFrom）」とは区別される概念で、たとえばマーケティング用のメールで「noreply@primoposto.co.jpのような返信できないアドレスを使うと信頼性が損なわれる可能性があります。

(2)明確で機能する配信停止リンクの設置

マーケティングや一斉配信のメールでは、受信者が簡単に配信停止できるリンクをわかりやすく表示することが推奨されています。

(3)リストの定期的な整理とバウンス管理

無効なメールアドレスを放置せず、定期的にメールクリーニングを除外することで、バウンス率（ソフト・ハードバウンスのエラー）や苦情を下げ、配信の質を保つことができます。

Microsoftは迷惑メール報告率は0.3％以内、ハードバウンス率は8％以内（2%以内が好ましい）という具体的な指標も示しています。

(4)透明性あるメール運用の徹底

正確な件名を使い、誤解を招くヘッダーや内容を避ける。そして、事前に受信者の同意（オプトイン）を得たメールだけを送ることが基本です。

Microsoftは、これらを遵守しない送信者に対して、メールのブロックやフィルタリングなどの措置を取る可能性があると明言しています。技術的な設定に加え、こうした運用面の整備も今後の到達率改善に欠かせません。

今後のスケジュールについて

Microsoftはすでに送信者への呼びかけを始めており、特に24時間に5,000通以上のメールを送る送信者は、今すぐにSPF・DKIM・DMARCの設定をあらためて確認・更新してください。これは、GoogleのPostmaster Toolsを通じて確認ができます。

そしていよいよ、2025年5月5日（月）から段階的な適用が開始されます。

この日以降、認証設定が不十分なドメインからのメールは、まず迷惑メールフォルダへ振り分けられるようになり、それでも改善されない場合、将来的にメール自体が拒否される可能性もあります。

まず取り組むべきは、自社ドメインのDNS設定（SPF・DKIM・DMARC）をしっかり確認し、Microsoftが求める条件をすべて満たしているか確認することです。特に、各認証が正しく動作しているか、設定ミスや構文エラーがないかを細かく点検しましょう。

さらに、送信したメールの認証ヘッダーを実際に確認し、意図通りにSPFやDKIMが通過しているかどうかをチェックできるスキルや体制も重要です。GmailやOutlookの「メッセージのソース」や「インターネットヘッダー」から詳細を確認ください。

サイバー犯罪が増え、セキュルティーレベルあ上がるにつれて、技術的な設定だけでなく、継続的な運用体制と情報収集も含めた「総合的な対応」が今後ますます求められるようになります。